[File 351] Derwent WPI 1963-2005/UD,UM &UP=200567 
(c) 2005 Thomson Derwent All rights reserved. 

*File 351: For more current information, include File 331 in your search. Enter HELP NEWS 331 for 
details. 



Derwent WPI 

(c) 2005 Thomson Derwent. All rights reserved. 
3/5/1 



012785538 **Image available** 
WPI Acc No: '1999-591764/199951 
XRPX Acc No: N99-436523 

Changeover to subsystem connected in cold redundancy, in 

hierarchical automation system 
Patent Assignee: HARTMANN & BRAUN GMBH & CO KG (HBRA ) 
Inventor: LIETZ L 

Number of Countries: 001 Number of Patents: 001 
Patent Family: 

Patent No Kind Date Applicat No Kind Date Week 

DE 19814096 Al 19991007 DE 1014096 A 19980330 199951 B 

Priority Applications (No Type Date) : DE 1014096 A 19980330 
Patent Details: 

Patent No Kind Lan Pg Main IPC Filing Notes 
DE 19814096 Al 13 G05B-009/03 

Abstract (Basic) : DE 19814096 Al 

NOVELTY - The same data from the higher-order devices (4) in the 
automation system, are received and processed in all redundantly 
connected subsystems (5 ,6). Each active subsystem (5) fault is 
reported via the bus system (7) to the higher-order devices (4) . The 
standby sub system (6) is activated directly via a separate connection 
between the redundantly connected subassemblies, bypassing the 
higher-order devices temporarily, in relation to the single signal 
channel (3) . The fault report concerning the subsystem (5) is processed 
in the higher-order devices of the system. These then authenticate 
activation of the standby subsystem (6) . 

USE - For rapid automatic changeover between active- and cold 
standby subsystems of an automation system, when the active subsystem 
experiences a malfunction. 

ADVANTAGE - The cold standby form of redundancy is used, with local 
automatic change over to a fresh (connected but previously idle) cold 
standby subsystem. This ensures immediate take over by the standby sub 
assembly. Communication of errors are prevented by this means. The 
changeover is authenticated, registered and reported later, at higher 
level . 

DESCRIPTION OF DRAWING (S) - A block diagram of the system is 
presented. 
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Die folgenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

Prufungsantrag gem. § 44 PatG ist gestellt 

©Verfahren zur Umschaltung redundant geschalteter, gleichartiger Baugruppen 

(§) Die Erfindung betrifft ein Verfahren zur Umschaltung 
redundant geschalteter, gleichartiger Baugruppen in ei- 
nem hie rare hi sen aufgebauten Automatisierungssystem, 
die gemeinsam an denselben, singularen Signalkanal an- 
geschlossen sind. Zur kontinuierlichen Ubernahme des 
eingesteljten Schaltzustandes auf dem singularen Signal- 
kanal beim Wechselder aktiven Baugruppe wird vorge- 
schlagen, dieselben Daten in alien redundant geschalte- 
teh Baugruppen (5, 6) von den ubergeordneten Einrich- 
tungen (4) des Automatisierungssystems zu empfangen 
und zu verarbeiten. Jede Storung der aktiven Baugruppe 
(5) wird Ober das Bussystem (7) an die ubergeordneten 
Einrichtungen (4) des Automatisierungssystems gemel- 
det und uber eine separate Verbindung (11, 12) wird zwi- 
schen den redundant geschalteten Baugruppen (5, 6) die 
■ passive Baugruppe (6) direkt unter Umgehung der uber- 
a geordneten Einrichtung (4) vorlaufig bezuglich des singu- 
laren Signalkanals (3) aktiviert. Die Storungsmeldung der 
aktiven Baugruppe (5) wird in den ubergeordneten Ein- 
richtungen (4) des Automatisierungssystems verarbeitet. 
Die Aktivierung der passiven Baugruppe (6) wird durch 
die ubergeordneten Einrichtungen (4) des Automatisie- 
rungssystems authentisiert. 
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Beschreibung 
Beschreibung 

Die Erfindung betrifft ein Verfahren zur Umschaltung 5 
redundant geschalteter, gleichartiger Baugruppen in einem 
hierarchisch aufgebauten Automatisierungssystem die ge- 
meinsam an denselben, singularen Signalkanal angeschlos- 
sen sind. 

Es ist bekannt, bei der Steuerung sicherheitsrelevanter 10 
Einrichtungen die Verfugbarkeit dadurch zu erhohen, daB 
gleichartige Baugruppen mehrfach vorgesehen und an ei- 
nem singularen Signalkanal redundant miteinander ver- 
schaltet sind. Dabei ist der singulare Signalkanal durch eine 
Zwei-Draht-Leitung zwischen miteinander kommunizieren- 15 
den Baugruppen des hierarchisch aufgebauten Automatisie- 
rungssysterns ausgebildet. 

Dabei wird zwischen der sogenannten heiBen Redundanz 
und der sogenannten kalten Redundanz unterschieden. Bei 
der heiBen Redundanz werden die redundant verschalteten 20 
Baugruppen synchron gesteuert, so daB alle redundant ver- 
schalteten Baugruppen stets denselben Schaltzustand auf- 
weisen. Die heiBe Redundanz ist jedoch in Abhangigkeit 
von der Art der redundant verschalteten Baugruppen und 
den an dem singularen Signalkanal angeschlossenen Endge- 25 
raten mit einer Reihe von Nachteilen behaftet, die insbeson- 
dere bei anaioger SignalUbertragung Uber den singularen Si- 
gnalkanal offensichtlich werden. Soweit die redundant ver- 
schalteten Baugruppen Empfanger anaioger MeBwerte sind, 
verfalschen die redundant verschalteten Eingangswider- 30 
stande der Empfanger den zu empfangenen analogen MeB- 
wert Sind die redundant verschalteten Baugruppen als Sen- 
der yon analogen Steilwerten ausgefuhrt, besteht die Gefahr 
der Zerstorung des Senderausgangsstufen bei differierenden 
Signallaufzeiten zwischen den einzelnen redundant ver- 35 
schalteten Sendern. 

Bei der kalten Redundanz wird eine der redundant ver- 
schalteten Baugruppen als aktive Baugruppe ausgewahlt, 
wahrend alle weiteren redundant verschalteten Baugruppen 
als passive Baugruppen bezeichnet werden. Dabei empfan- 40 
gen alle redundant parallelgeordneten Baugruppen in der 
automatisierungstechnischen Anlage dieselberi Steuersi- 
gnale, jedoch ausschliefilich die aktive Baugruppe ist zur 
Kommunikation mit dem Endgerat uber den singularen Si- 
gnalkanal freigegeben. 45 

Bei Ausfall der aktuell aktiven Baugruppe wird eine der 
aktueil passiven Baugruppen zur neuen aktiven Baugruppe 
ausgewahlt Infolgedessen wird nunmehr ausschliefilich die 
neuen aktiven Baugruppe zur Kommunikation mit dem 
Endgerat uber singularen Signalkanal freigegeben. 50 

Jede der redundant geschalteten Baugruppen in einer 
hierarchisch aufgebauten automatisierungstechnischen An- 
lage umfaBt eine Prozessorschaltung, die uber mindestens 
ein B ussy stem mit Ubergeordneten Einrichtungen der auto- 
matisierungstechnischen Anlage Daten austauscht und von 55 
den ubergeordneten Einrichtungen Befehle empfangt Dar- 
uber hinaus umfaBt jede der redundant geschalteten Bau- 
gruppen Schnittstelleneinrichtungen, an die der singulare 
Signalkanal angeschlossen ist. Diese Schnittstelleneinrich- 
tungen sind bei Ausgabebaugruppen als Sender und bei Ein- 60 
gabebaugruppen als Empfanger ausgefUhrt 

Der Vorgang des Wechsels der aktiven Baugruppe umfaBt 
dabei eine Mehrzahl aufeinanderfolgender Schritte. Zu- 
nachst werden die detektierte Stdrung durch die gestorte ak- 
tive Baugruppe an die ubergeordneten'Einrichtungen der au- 65 
tomatisierungstechnischen Anlage gemeldet und die 
Schnittstelleneinrichtungen der gestorten aktiven Bau- 
gruppe in einen Ruhezustand versetzt, womit die aktive 
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Baugruppe in den passiven Zustand Ubergeht AnschlieBend 
wird durch die ubergeordneten Einrichtungen der automati- 
sierungstechnischen Anlage eine der bis dahin passiven 
Baugruppen als neue aktive Baugruppe ausgewahlt Die 
Schnittstelleneinrichtungen der neuen aktiven Baugruppe 
werden entsprechend den bereits vorliegenden Steuersigna- 
len zur Kommunikation Uber den singularen Signalkanal. 
freigegeben. Dabei wird die Sighalubertragung zwischen 
dem Endgerat und der jeweils aktiven Baugruppe liber den 
singularen Signalkanal fur die Dauer von der Versetzung der 
Schnittstelleneinrichtungen der gestorten aktiven Bau- 
gruppe in den Ruhezustand bis zur Freigabe der Schnittstel- 
leneinrichtungen der neuen aktiven Baugruppe entspre- 
chend den bereits vorliegenden Steuersignalen unterbro-. 
chen. Diese Unterbrechung kann zu Fehlfunktionen des 
Endgerats fuhren und ist daher unerwunscht Besonders 
nachteilig ist die undeterminierte Dauer der Unterbrechung, 
die von verschiedenen Einfiufigrofien, wie Auslastung der 
ubergeordneten Einrichtungen der automatisierungstechni- 
schen Anlage und Transferlast auf dem Bussystem zwischen 
den redundant geschalteten Baugruppen und den ubergeord- 
neten Einrichtungen, abhangig ist 

Der Erfindung liegt daher die Aufgabe zugrunde, ein Ver- 
fahren zur Umschaltung redundant geschalteter, gleicharti- 
ger Baugruppen in einem hierarchisch aufgebauten Automa- 
tisierungssystem anzugeben, das beim Wechsel der aktiven 
Baugruppe eine kontinuierliche Obernahme des eingestell- 
ten Schaltzustandes auf dem singularen Signalkanal ermog- 
licht. 

ErfindungsgemaB wird diese Aufgabe mit den Mitteln des 
Paten tanspruchs 1 gelost. Vorteilhafte Ausgestaltungen der 
Erfindung sind im Anspruch 2 genannt. 

Der Kern der Erfindung ist darin zu sehen, daB sofort nach 
erkannter Storting der aktiven Baugruppe unverziiglich un- 
ter Umgehung der Ubergeordneten Einrichtungen eine der 
Ersatz-Baugruppen vorlaufig aktiviert wird und daB diese 
Aktivierung nachtraglich durch die ubergeordneten Einrich- 
tungen authentisiert wird. 

"Dadurch wird eine kontinuierliche Obernahme des einge- 
stellten Schaltzustandes auf dem singularen Signalkanal 
beim Wechsel der aktiven Baugruppe gewShrleistet 

Infolge dessen werden Fehlsignalisierungen bei der Kom- 
munikation uber den singularen Signalkanal vermieden. 

Die Erfindung wird nachstehend anhand eines Ausfuh- 
rungsbeispiels mit zwei gleichartigen, redundant geschalte- 
ten Baugruppen naher erlautert. Die dazu erforderlichen 
Zeichnungeri zeigen 

Fig. 1 ein Prinzipdarsteilung eines hierarchisch aufgebau- 
ten Automatisierungssystems mit gleichartigen, redundant 
geschalteten Baugruppen, 

Fig. 2 einen Ablaufplan der Schritte in der aktiven Bau- 
gruppe beim Wechsel der aktiven Baugruppe, 

Fig. 3 einen Ablaufplan der Schritte in der Ersatz-Bau- 
gruppe beim Wechsel der aktiven Baugruppe, 

Fig. 4 einen Ablaufplan der Schritte in der Ubergeordne- 
ten Einrichtung beim Wechsel der aktiven Baugruppe, 

Fig. 5 eine Darstellung des Zeitverlaufs von Schritten 
beim Wechsel der aktiven Baugruppe, . 

Fig. 6 eine Prinzipdarsteilung von zwei redundant ge- 
schalteten Ausgabebaugruppen, 

Fig. 7 ein Blockschaltbild des Redundanzmittels. 

Die prinzipielle Struktur eines hierarchisch aufgebauten 
Automatisierungssystems ist in Fig. 1 dargestellt. Ausge- 
hend von einer Ubergeordneten Einrichtung 4 ist ein Bussy- 
stem 7 vorgesehen, an das untergeordnete Einrichtungen 5 
und 6 angeschlossen sind. Ober dieses Bussystem 7 tauscht 
die ubergeordnete Einrichtung 4 mit den untergeordneten 
Einrichtungen 5 und 6 Daten aus. Dartiber hinaus sendet die 
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Ubergeordnete Einrichtung 4 Befehle an die untergeordneten 
Einrichtungen 5 und 6. Dazu ist sowohl die ubergeordnete 
Einrichtung 4 als aucb die untergeordneten Einrichtungen 5 
und 6 jeweils mit einer Prozessoreinheit 8 ausgestattet, die 
iiber Befehls- und Datenspeicher sowie Kommunikations- 
schnittstellen verfUgt 

Die untergeordneten Einrichtungen 5 und 6 sind gleicbar- 
tig aufgebaute Baugruppen, die redundant geschaltet zur 
Kommuni kation mit einer singularen Einrichtung 1 uber ei- 
nen singularen Signalkanal 3 ausgelegt sind. Dazu sind die 
redundant geschalteten gleichartigen Baugruppen 5 und 6 
mit jeweils einer ersten Schnittstelle an das Bussystem 7 an- 
geschlossen und mit einer zweiten Schnittstelle mit dem sin- 
gularen Signalkanal 3 verbunden. Der singulare Signalkanal 
3 ist durch eine Zwei-Draht-Leitung ausgefiihrt Die An- 
schlusse der zweiten Schnittstelle der redundant geschalte- 
ten gleichartigen Baugruppen 5 und 6 sind parallel geschal- 
tet und mit der Zwei-Draht-Leitung des singularen Signal- 
kanals 3 verbunden. 

Die Parallelschaltung der jeweils zweiten Schnittstellen 
der redundant geschalteten gleichartigen Baugruppen 5 und 
6 hat den Vorteil, daB bei der In strumen tierung der automa- 
tisierungstechnischen Anlage zunachst eine einzige unterge- 
ordnete Einrichtung 5 zum AnschluB an den singularen Si- 
gnalkanal 3 vorgesehen werden kann, die zu einem spateren 
Zeitpunkt durch eine redundant geschaltete gleichartige 
Baugruppe 6 zu einem Redundanzparchen erganzt werden 
kann, wobei die OfTnung des Stromkreises iiber den singula- 
ren Signalkanal 3 vermieden wird. 

Im weiteren wind davon ausgegangen, dafi die redundant 
geschalteten gleichartigen Baugruppen 5 und 6 als Sende- 
baugjuppen ausgefuhrt sind, und dafi die singulare Einrich- 
tung 1 ein Signalempfanger ist. Es liegt jedoch eben'so im 
Rahmen der Erfindung, daB die singulare Einrichtung 1 ein 
Signalsender ist, und daB die redundant geschalteten gleich- 
artigen Baugruppen 5 und 6 als Signalempfanger ausgefiihrt 
sind. Es liegt weiterhin im Rahmen der Erfindung, daB die 
jeweilige Sende- bzw. Empfangsbaugruppe zum Senden 
bzw. Empfangen sowohl von analogen als auch von digita- 
ien Signalen ausgefiihrt sein kann. 

WShrend des bestimmungsgem&Ben Gebrauchs empfan- 
gen beide redundant geschalteten gleichartige Baugruppen 5 
und 6 uber das Bussystem 7 dieselben Daten und Befehle 
von der ubergeordneten Einrichtung 4. In beiden redundant 
geschalteten gleichartigen Baugruppen 5 und 6 werden die 
Daten und Befehle synchron zueinander verarbeitet. Jedoch 
ist jeweils nur eine der redundant geschalteten gleichartigen 
Baugruppen aktiv mit dem singularen Signalkanal 3 verbun- 
den, wahrend die jeweils andere der redundant geschalteten 
Baugruppen bezuglich des singularen Signalkanals 3 passiv 
geschaltet ist. 

Bei der Initialisierung des hierarchisch aufgebauten Auto- 
matisierungssystems wird die Auswahl der jeweils aktiven 
Baugruppe aus der Gruppe der redundant geschalteten 
gleichartigen Baugruppen 5 und 6 eines singularen Signal- 
kanals 3 voreingestellt Im weiteren wird davon ausgegan- 
gen, daB die Baugruppe 5 die aktive Baugruppe ist. Das be- 
deutet, daB ausschlieBlich die Baugruppe 5 iiber den singu- 
laren Signalkanal 3 mit dem Signalempfanger 1 kommuni- 
ziert Die redundant geschaltete gleichartige Baugruppe 6 
verfUgt jedoch jederzeit Uber dieselben Daten und denselben 
Programmabarbeitungszustand wie die aktive Baugruppe 5, 
ist somit sendebereit jedoch bezUglich des singularen Si- 
gnalkanals 3 passiv geschaltet 

Im weiteren wird unter Bezugnahme auf die Fig. 2 bis 4 
der Ablaut der Umschaltung des aktiven Zustandes bezug- 
lich des singularen Signalkanals 3 von der aktiven Bau- 
gruppe 5 auf die redundant geschaltete gleichartige Bau- 



gruppe 6 erlautert Dabei unterliegen verzweigende Pro- 
grammschritte infolge eines Entscheidungsschritts der Kon- 
vention, daB der Zweig der Prograrnmfortsetzung bei nega- 
tiver Entscheidung mit einer n 0" gekennzeichnet ist und der 
S Zweig der Prograrnmfortsetzung bei positiver Entscheidung 
mit einer " 1 " gekennzeichnet ist. 

Im einzelnen zeigt Fig. 2 einen Ablaiifplan der Schritte in 
der aktiven Baugruppe 5 beim Wechsel der aktiven Bau- 
gruppe infolge eines Storereignisses in der jeweils aktiven 

10 Baugruppe. Ausgehend vom Start 1000 des Programms 
wird in einem Programmschritt 1101 in regelmaBigen Ab- 
standen geprttft, ob in der Baugruppe eine Stoning vorliegt. 
Arbeitet die Baugruppe stGrungsfrei, wird der priifende Pror 
grammschritt 1101 in regelmaBigen Zeitabstanden wieder- 

15 holt Wird wahrend des Programmschritts ilOl eine Storung 
der Baugruppe erkannt, wird der Verzweigung 1 folgend der 
Programmschritt 1102 ausgefuhrt. Wahrend dieses Schrittes 
1102 wird die gesamte Baugruppe rucksetzend initialisiert. 
Die rucksetzende Initialisierung wird im Programmschritt 

20 1301 ausgewertet, dessen Erlauterung im Zusammenhang 
mit Fig. 4 erfolgt. Die rucksetzende Initialisierung bei Pro- 
grarnmschritt 1102 lost die Umschaltung der aktiven Bau- 
gruppe im Programmschritt 1103 aus, die im Programm- 
schritt 1201 im Zusammenhang mit Fig. 3 erlautert wird. 

25 SchlieBHch wird die Ablaufsequenz mit Programmschritt 
9999 beendet. Durch die rucksetzende Initialisierung wird 
die aktive Baugruppe 5 in den passiven Zustand beziigiich 
des singularen Signalkanals 3 versetzt 

In Fig. 3 ist ein Ablaufplan der Schritte in der redundant 

30 geschalteten Ersatz-Baugruppe 6 beim Wechsel der aktiven 
Baugruppe gezeigt, wobei diese Ersatz-Baugruppe 6 beim 
Start, Programmschritt 1000, bezuglich des singularen Si- 
gnalkanals 3 passivgeschaltet ist Bezogen auf die Darstel- 
lung in Fig. 1 laufen die nachfolgend eiriauterten Programm- 

35 schritte in der Ersatz-Baugruppe 6 ab. Ausgehend vom. 
Start, Programmschritt 1000, wird bei Programmschritt 
1201 gepriift, ob ein Umschaltsignal vorliegt. Das erwartete 
Umschaltsignal wird durch die rucksetzende Initialisierung 
der aktiven Baugruppe 5 gemaB Fig. 2 wahrend des Pro- 

40 grarnmschritts 1103 erzeugt Bei negativem Befund wird der 
Verzweigung 0 folgend diese Priifung in regelmaBigen Ab- 
standen wiederholt 

Soweit fdas Vorliegen eines Umschaltsignals erkannt 
wird, wird der Programmverzweigung 1 folgend der Pro- 

45 grammschritt 1202 ausgefuhrt. Das in der passivgeschalte- 
ten Ersatz-Baugruppe 6 im Programmschritt 1201 abge- 
priifte Umschaltsignal wird in der aktiven Baugruppe 5 in- 
folge einer Storung bei Programmschritt 1103 erzeugt. Mit 
Erkennen eines Umschaltsignals wird bei Programmschritt 

50 1202 spontan die Kommunikation mit dem Signalempfan- 
ger 1 iiber den singularen Signalkanal 3 aufgenommen. Da- 
durch wird die redundant geschaltete Ersatz-Baugruppe 6 
riunmehr zur aktiven Baugruppe. Da die Ersatz-Baugruppe 6 
vereinbarungsgemaB Uber dieselben Daten verfiigt und den- 

55 selben Programmabarbeitungszustand aufweist wie die bis 
dahin aktive Baugruppe 5, ist eine kontinuierliche und stoB- 
freie tjbernahme und Fortsetzung der Kommunikation mit 
dem Signalempfanger 1 Uber den singularen Signalkanal 3 
gewahrleistet 

60 Zum Zeitpunkt des Abarbeitungsschritts 1202 ist insbe- 
sondere in einem komplexen hierarchisch aufgebauten Au- 
. tomatisierungssystem unbekannt, ob die Ubergeordnete Ein- 
richtung 4 bereits die Meldung der Storung der bis dahin ak- 
tiven Baugruppe 5 empfangen hat 

65 Nach Ablauf einer unbestimmten Zeit empfangt die akti- 
vierte Ersatz-Baugruppe 6 von der ubergeordneten Bau- 
gruppe 4 einen Aktivierungsbefehl, der die spbntane Akti- 
vierung bei Programmschritt 1203 aiithentisiert Die akti- 
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vierte Ersatz-Baugruppe 6 ist hunmehr im Automatisie- 
rungssystem als aktive Baugruppe beziiglich des singularen 
Signalkanals 3 registriert Die Ablaufsequenz endet mit Pro- 
grammschritt 9999. 

In Fig, 4 ist der Ablauf der Schritte in der ubergeordneten 
Einrichtung 4 beim Wechsel der aktiven Baugruppe darge- 
stellt. In der Ubergeordneten Einrichtung 4 wird eine End- 
losschleife, beginnend mit Programmschritt 1000, ausge- 
fuhrt Wahrend Programmschritt 1301 wird gepruft, ob alle 
untergeordneten Baugruppen storungsfrei sind. Solange 
keine der angeschlossenen untergeordneten Baugruppen 
eine Storung meldet, wird der Programmverzweigung 1 fol- 
gend der Programmschritt 1301 in regelmSBigen Abstanden 
wiederholt. 

Jede gestorte untergeordnete Baugruppe 5 und 6 meldet 
ihren Storungszustand infolge der rucksetzenden Initialisie- 
rung bei Programmschritt 1102 gemaB der Darstellung in 
Fig. 2. Sobald die ubergeordnete Einrichtung 4 bei Pro- 
grammschritt 1301 eine Storungsmeldung einer angeschlos- 
senen untergeordneten Baugruppe 5 und 6 empfangt, wird 
die Programmabarbeitung der Programmverzweigung 0 fol- 
gend mit Programmschritt 1302 fortgesetzt 

Wahrend des Prograrnmschritts 1302 wird ermittelt, wel- 
che der angeschlossenen untergeordneten Baugruppen 5 und 
6 eine Storung gemeldet hat. Im weiteren Verlauf der Abar- 
beitung wird bei Programmschritt 1303 gepruft, ob die ge- 
storte untergeordnete Baugruppe 5 oder 6 eine aktive Bau- 
gruppe 5 beziiglich des angeschlossenen singularen Signal- 
kanals 3 ist 

Soweit die gestorte untergeordnete Baugruppe beziiglich 
des singularen Signalkanals 3 passiv geschaltet ist, wird der 
Programmverzweigung 0 folgend bei Programmschritt 1311 
eine Meldung an das Bedienpersonal ausgegeben, daB eine 
Baugruppe ausgef alien ist und uiri welche es sich handelt 
AnschlieBend wird die Programmabarbeitung mit Pro- 
grammschritt 1301 fortgesetzL 

Wird bei Programmschritt 1303 ermittelt, daB die gestorte 
untergeordnete Einrichtung eine beziiglich des singularen 
Signalkanals 3 aktive Baugruppe 5 ist, wird der Programm- 
verzweigung 1 folgend bei Programmschritt 1304 gepruft, 
ob das Automatisierungssystem eine zu der gestdrten unter- 
geordneten Einrichtung 5 gleichartige redundant geschaltete 
Ersatz-Baugruppe 6 aufweist. Soweit die gestorte unterge- 
ordnete Einrichtung 5 eine singular© Baugruppe ist, wird der 
Programmverzweigung 0 folgend bei Programmschritt 1321 
das Bedienpersonal iiber den Ausfall der Baugruppe 5 alar- 
miert und die Programmabarbeitung mit Programmschritt 
1301 fortgesetzt . 

Wird bei Programmschritt 1304 ermittelt, daB der gestor- 
ten untergeordneten Einrichtung 5 eine gleichartige Ersatz- 
Baugruppe 6 redundant geschaltet ist, wird der Programm- 
verzweigung 1 folgend bei Programmschritt 1305 diejenige 
Ersatz-Baugruppe 6 ermittelt, die zur gestorten untergeord- 
neten Einrichtung 5 redundant geschaltet ist. Dem weiteren 
Prograrnmablauf folgend wird bei Programmschritt. 1306 
die zur gestorten untergeordneten Einrichtung 5 redundant 
geschaltete gleichartige Ersatz-Baugruppe 6 adressiert und 
bei Programmschritt 1307 der Befehl zur Obernahme der 
Kommunikation mit dem Signalempfanger 1 uber den sin- 
gularen Signalkanal 3 erteilt. Dieser Befehl wird in der red- 
undant geschalteten gleichartigen Ersatz-Baugruppe 6 emp- 
fangen und im Programmschritt 1203 gemaB Fig. 3 verar- 
beitet In der ubergeordneten Einrichtung wird nach Abar- 
beitung des Prograrnmschritts 1307 tumusmSBig mit Pro- 
grammschritt 1301 fortgesetzt 

Es ist offensichtlich, daB in der ubergeordneten Einrich- 
tung 4 in einem komplexen, hierarchisch aufgebauten Auto- 
matisierungssystem mit einer Vielzahl untergeordneter Ein- 



richtungen 5 und 6 von der Erkennung einer gestorten unter- 
geordneten Einrichtung bei Prog rammsc hri tt 1301 bis zur 
Ausgabe des Obemahmebefehls an eine redundant geschal- 
tete gleichartige Ersatz-Baugruppe 6 bei Programmschritt 
5 1307 eine Abarbeitungszeit fur die Programmschritte 1301 
bis 1307 bendtigt wird, die zu einer spurbaren Unterbre- 
chung in der Kommunikation mit dem Signalempfanger 1 
uber den singularen Signalkanal 3 mit den in der Beschrei- 
bungseinleitung ervvahnten Nachteilen riihrt Insbesondere 

10 ist dabei zn berucksichtigen, daB die Ablaufsequenz gemaB 
Fig. 4 fur die ubergeordnete Einrichtung 4 bezogen auf den 
gesamten Programmabiauf in der ubergeordneten Einrich- 
tung 4 des hierarchisch aufgebauten Automatisierungssy- 
stems nureinen vergieichsweise.geringen Anteil hat 

15 Nach MaBgabe der Erflndung verzogert diese Ablaufzeit 
jedoch nur die nachu^gliche Authentisierung der bereits 
vollzogenen Umschaltung der aktiven Baugruppe und t)ber- 
nahme der Kommunikation mit dem Signalempfanger 1 
iiber den singularen Signalkanal 3 wahrend der Programm- . 

20 schritts 1202 in der redundant geschalteten Baugruppe 6 wie 
in Fig. 3 dargestellt wurde. 

Zur Verdeutlichung dieses Zusammenhangs ist in Fig. 5 
der Zeitverlauf von signifikanten Schritten beim Wechsel 
der aktiven Baugruppe dargestellt. Anhand von Gultigkeits- 

25 symbolen, die den Wechsel eihes Giiltigkeitszustandes si- 
gnalisieren, sind Wechselzustande bei der Abarbeitung der 
Programmschritte 1102 in der gestorten aktiven Baugruppe 
5 gemaB Fig. 2, die Obemahme der Kommunikation und da- 
mit Aktivschaltung der redundant geschalteten Ersatz-Bau- 

30 gruppe 6 bei Programmschritt 1202 gemaB Fig. 3 und die 
Authentisierung durch die ubergeordnete Einrichtung 4 ge- 
maB Programmschritt 1307 aus Fig. 4 uber die Zeit t darge- 
stellt Die gestorte aktive. Baugruppe 5 signalisiert zum 
Zeitpunkt to ihren St5rungszustand. Daraufhin ubemirnmt 

35 die redundant geschaltete Ersatz-Baugruppe 6 zum Zeit- 
punkt t\ entsprechend Programmschritt 1202 die Kommuni- 
kation mit dem Signalempfanger 1 iiber den singularen Si- 
gnalkanal 3. Die Authentisierung der Ubernahme der Kom- 
munikation durch die redundant geschaltete Ersatz-Bau- 

40 gruppe 6 durch die ubergeordnete Einrichtung 4, entspre- 
chend Programmschritt 1307 aus Fig. 4, erfolgt zum Zeit- 
punkt t2. 

Die Dauer vom Zeitpunkt to bis ti wird dabei ausschlieB- 
lich durch die Signallaufzeiten in den elektronischen Bau- 

45 elementeh der gestorten aktiven Baugruppe 5 und der redun- 
dant geschalteten gleichartigen Ersatz-Baugruppe 6 be- 
stimmt und liegt im Bereich einiger Mikrosekunden. Dem- 
gegeniiber wird der Zeitabschnitt vom Zeitpunkt to, der Sto- . 
rungsmeldung der gestorten aktiven Baugruppe 5 , bis zum 

50 Zeitpunkt t 2 , dem "Qbernahmebefehl der ubergeordneten 
Einrichtung 4, durch die Abarbeitungszeit der Programm- 
schritte 1301 bis 1307 gemaB Fig. 4 in der ubergeordneten 
Einrichtung 4 bestimmt und fiegt im Bereich einiger Miili- 
sekunden. 

55 Aufgrund kapazitiver Leitungseffekte auf dem als Zwei- 
Draht-Leitung ausgefuhrten singularen Signalkanal 3 ist 
eine Spannungsunterbrechung im Zeitbereich einiger Mi- 
krosekunden fur den angeschlossenen Signalempfanger 1 
nicht detektierbar. 

60 Praktisch bedeutet die Ubernahme der Kommunikation 
mit dem Signalempfanger 1 Uber den singularen Signalkanal 
3 durch die redundant geschaltete Ersatz-Baugruppe 6 zum 
Zeitpunkt t x eine stoBfreie und verzdgerungsfreie t)ber- 
nahme. 

65 Uhter Verwendung gleicher Bezugszeichen fur gleiche 
Mittel ist in Fig. 6 eine bevorzugte Ausfuhrungsform der Er- 
findung mit zwei redundant geschalteten gleichartigen Bau- 
gruppen 5 und 6 dargestellt Jede der redundant geschalteten 
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Baugruppen 5 und 6 verfugt uber eine Prozessoreinheit 8, 
die Uber das Bus system 7 mit der in Fig. 6 nicht dargesteli- 
ten ftbergeordneten Einrichtung 4 kommuniziert Die je- 
weils zweiten Schnittstellen der redundant geschalteten 
gleichartigen Baugruppen 5 und 6 sind paralielgeschaltet 
und mit dem singularen Signalkanal 3 verbunden. Der sin- 
gulare Signalkanal 3 ist als Zwei-Draht-Leitung ausgefiihrt, 
an dessen fireien Ende der Signalempfanger 1 angeschlossen 
ist 

Jede der redundant geschalteten gleichartigen Baugrup- 
pen 5 und 6 ist jeweils mit einem Redundanzumschaltmittel 
570 und 670 ausgestattet Die Redundanzumschaltmittel 
570 und 670 weisen jeweils einen RUcksetzeingang 571 und 
671, ein Redundanzumschaltsignaleingang 572 und 672, ei- 
nen Freigabeausgang 573 und 673 sowie einen Redundan- 
zumschaltsignalausgang 574 und 674. auf. 

DarUber hinaus ist jeder der gleichartigen Baugruppen 5 
und 6 fur jeden angeschlossenen singularen Signalkanal 3 
mit jeweils einem Signalverstarker 510 und 610 ausgestat- 
tet . 

VereinbarungsgemaB empfangen beide redundant ge- 
schalteten Baugruppen 5 und 6 dieselben Daten und Befehle 
uber das B ussy stem 7 von der in Fig. 6 nicht dargestellten 
iibergeordneten Einrichtung. Demzufolge sind an den Aus- 
gangen der Signalverstarker 510 und 610 zu denselben Zeit- 
punkten exakt dieselben Ausgangssignale verfugbar. 

Im weiteren wird davon ausgegangen, daB die Baugruppe 

5 die aktuell aktivgeschaltete Baugruppe und die Baugruppe 

6 die aktuell passivgeschaltete redundante Baugruppe ist. 
Der Ausgang des Signalverstarkers 510 der aktiven Bau- 
gruppe 5 ist, symbolisiert durch einen geschlossenen zwei- 
poligen Schalter 520, mit dem singularen Signalkanal 3 ver- 
bunden. Der Schalter 520 wird durch den Freigabeausgang 
573 des Redundanzumschaltmittels 570 betatigt 

Im Gegensatz dazu ist der Ausgang des Signalverstarkers 
610 der passiv geschalteten Baugruppe 6, symbolisiert 
durch einen geoffneten zweipoligen Schalter 620, vom sin- 
gularen Signalkanal 3 getrennt Der Schalter 620 wird durch 
den Freigabeausgang 673 des Redundanzumschaltmittels 
670 betatigt 

Jede der redundant geschalteten Baugruppen 5 und 6 
weist jeweils einen Redundanzumschaltsignaleingang 504 
und 604 sowie einen Redundanzumschaltsignalausgang 505 
und 605 auf , die jeweils mit dem zugehorigen Redundan- 
zumschaltsignaleingang 572 und 672 und dem Redundan- 
zumschaltsignalausgang 574 und 674 des zugehorigen Red- 
undanzumschaltmittels 570 und 670 verbunden sind. 

Die redundante Verschaltung der gleichartigen Baugrup- 
pen 5 und 6 besteht nunmehr darin, daB der Redundanzum- 
schaltsignalausgang 505 der aktiven Baugruppe 5 uber eine 
Signalleitung 11 mit dem Redundanzumschaltsignaleirigang 

604 der passiv geschalteten redundanten Baugruppe 6 ver- 
bunden ist, und daB der Redundanzumschaitsignalausgang 

605 der passiv geschalteten Baugruppe 6 Uber eine Signal- 
leitung 12 mit dem Redundanzumschaltsignaleingang 504 
der aktiven Baugruppe 5 verbunden ist 

In jeder der gleichartigen Baugruppen 5 und 6 wird im 
Storungsfall, gemaB Programmschritt 1102 in Fig. 2, ein 
RUcksetzsignal 503 und 603 erzeugt, das am RUcksetzein- 
gang 571 und 671 des jeweiligen Redundanzumschaltmit- 
tels 570 und 670 aufgeschaltet ist 

Beim Auftreten einer Stoning in der aktiven Baugruppe 5 
wird gemaB Programmschritt 1102 das RUcksetzsignal 503 
aktiviert. Daraufhin wird Uber den Freigabeausgang 573 der 
Schalter 520 geoffnet und gleichzeitig uber den Redundan- 
zumschaltsignalausgang 574 des Redundanzumschaltmit- 
tels 570, den Redundanzumschaltsignalausgang 505 der ak- 
tiven Baugruppe 5, die Signalleitung 11 an den Redundan- 



zumschaltsignaleingang 604 der redundant geschalteten 
Baugruppe 6 und weiter an den Redundanzumschaltsignal- 
eingang 672 des Redundanzumschaltmittels 670 der St5- 
rungszustand der aktiven Baugruppe 5 gemeldet GemaB 
5 Programmschritt 1201 in Fig. 3 wird im Redundanzum- 
schaltmittel 670 der redundant geschalteten Ersatz-B au- 
gruppe 6 ein Redundanzumschaltsignal erkannt und Uber 
den Freigabeausgang 673 der Schalter 620 geschlossen. Das 
SchlieBen des Schalters 620 der aktivierten Ersatz-B au- 
10 gruppe 6 entspricht dem Zeitpunkt ti in Fig. 5. Bezuglich 
des singularen Signalkanals 3 wird die Kommunikatipn 
stoBfrei Uber die redundant geschaltete Ersatz- B augruppe 6 
fortgesetzt 

Nach wiederhergestellter Baugruppe 5 und aktiver Er- 

15 satz-B augruppe 6 wird bei deren Stoning das RUcksetzsi- 
gnal 603 aktiviert, woraufhin Uber den Freigabeausgang 673 
der Schalter 620 geSffhet wird und gleichzeitig Uber den 
Redundanzumschaltsignalausgang 674 des Redundanzum- 
schaltmittels 670, den Redundanzumschaltsignalausgang 

20 605 der Baugruppe 6 und die Signalleitung 12 an den Red- 
undanzumschaltsignaleingang 504 der Baugruppe 5 und 
weiter an den Redundanzumschaltsignaleingang 572 des 
Redundanzumschaltmittels 570, gemaB Programmschritt 
1103 in Fig. 2, gesendet Daraufhin wird Uber den Freigabe- 

25 ausgang 573 des Redundanzumschaltmittels 570 der Schal- 
ter 520 geschlossen und der singulare Signalkanal 3 mit dem 
Ausgang des Signalverstarkers 510 verbunden. 

In besonders vorteilhafter Ausgestaltung der Erfindung 
sind die Schalter 520 und 620 als elektronische Torschaltun- 

30 gen ausgefuhrt, Soweit die redundant geschalteten, gleichar- 
tigen Baugruppen 5 und 6 als Sendebaugruppen ausgefuhrt 
sind, sind die Ausgange der elektronischen Torschaltungen 
520 und 620 unmittelbar mit den AnschluBelementen der 
zweiten Schnitts telle zum AnschluB des singularen Signal- 

35 kanals 3 verbunden. Sind die redundant geschalteten, 
gleichartigen Baugruppen 5 und 6 als Empfangsbaugruppen 
ausgefiihrt, dann sind die Signaleingange der elektronischen 
Torschaltungen 520 und 620 unmittelbar mit den AnschluB- 
elementen der zweiten Schnittstelle zum AnschluB des sin- 

40 gularen Signalkanals 3 verbunden; 

Dadurch wird der singulare Signalkanals 3 unmittelbar an 
seinem AnschlUssen an die redundant geschalteten, gleich- 
artigen Baugruppen 5 und 6 Abhangigkeit vom Aktivie- 
rungszustand jeder redundant geschalteten, gleichartigen 

45 Baugruppe 5 und 6 an- und abgeschaltet. 

Der Vorteil dieser Vorgehensweise ist darin zu sehen, daB 
die redundant geschalteten, gleichartigen Baugruppen 5 und 
6 unabhangig von ihrem Aktivierungszustand wahrend des 
laufendeh Betriebs nahezu vollstandig priifbar und Uber- 

50 wachbar sind. Lediglich die elektronischen Torschaltungen 
520 und 620 der jeweils passivgeschalteten Ersatz-B au- 
gruppe sind von der iaufenden Uberwachung ausgenom- 
men. . t 

Da VereinbarungsgemaB alle redundant geschalteten, 

55 gleichartigen Baugruppen 5 und 6 unabhangig von ihrem 
Aktivierungszustand wahrend des Iaufenden Betriebs von 
der ubergeordneten Einrichtung 4 des hierarchisch aufge- 
bauten Automatisierungssy stems dieselben Daten und Be- 
fehle empfangen und zu denselben Zeitpunkten denselben 

60 Abarbeitungszustand der Befehlssequenzen aufweisen, wer- 
den Storungen sowohl in der aktivgeschalteten Baugruppe 5 
als auch in alien passivgeschalteten Ersatz-B au gruppe n 6 er- 
kannt und verarbeitet Auf diese Weise wird eine besonders 
hohe Verfugbarkeit fur das hierarchisch aufgebauten Auto- 

65 matisierungssystem erreicht 

Wenngleich die beyorzugte AusfUhrungsform gemaB Fig. 
6 am Beispiel redundant geschalteter Sendebaugruppen mit 
einem Signalempfanger 1 beschrieben ist, liegt es gleich- 
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wohl im Rahmen der Erfindung, anstelle des Signalempfan- 
gers 1 einen Signalsender 1 vorzusehen und die redundant 
geschalteten Baugruppen 5 und 6 als Empfangsbau gruppen 
auszugestalten. Dartiber hinaus liegt es im Rahmen der Er- 
findung,. daB jede Sende-ZEmpfangerkombination auf ana- 5 
loge oder digitale Signaltibertragung spezialisiert ist 

Dariiber hinaus liegt es im Rahmen der Erfindung, Grup- 
pen von mehr als zwei redundant geschalteten gleichartigen 
Baugruppen zur stoBfreien Obernahme der Kommunikation 
uber einen singulare n Signalkanal zu einem Signal empfan- 10 
ger 1 bzw. von einem Signalsender 1 vorzusehen. 

In Fig. 7 ist unter Verwendung gleicher Bezugszeichen 
fur gleiche Mittel das Redundanzumschaltmittel 570 und 
670 der redundant geschalteten, gleichartigen Baugruppen 5 
und 6 als.Blockschaltbild dargestellt. Dabei sind die Mittel 15 
mit den Bezugszeichen 570 bis 577 der aktivgeschalteten 
Baugruppe 5 und die Mittel mit den Bezugszeichen 670 bis 
677 der passivgeschalteteri Ersatz-Baugruppe 6 zugeordnet 

Das Redundanzumschaltmittel 570 und 670 besteht im 
wesentlichen aus eihem adressierbaren Statuslatch 575 und 20 
675, einem adressierbaren Bereitschaftslatch 576 und 676 
sowie einem UND-Gatter 577 und 677 mit zwei Eingangen, 
von dehen ein Eingang invertierend ist. 

Das adressierbare Statuslatch 575 und 675 und das adres- 
sierbare Bereitschaftslatch 576 und 676 des Redundanzum- 25 
schaltmittels 570 und 670 sind uber einen gemeinsamen 
Rucksetzeingang riicksetzbar, der der Rucksetzeingang 571 
und 671 des Redundanzumschaltmittels 570 und 670 ist. 
Der Ausgang des adressierbaren Statuslatch 575 und 675 ist 
der Redundanzumschaltsignalausgang 574 und 674 des 30 
Redundanzumschaltmittels 570 und 670 und der Ausgang 
des adressierbare Bereitschaftslatch 576 und 676 ist mit dem 
nichtinvertierenden Eingang des UND-Gatters 577 und 677 
verbunden. 

Dariiber hinaus weist das Redundanzumschaltmittel 570 35 
und 670 Mittel zur selektiven Konfiguratioh des adressier- 
baren Statuslatch 575 und 675 und des adressierbaren Be- 
reitschaftslatch 576 und 676 durch die Prozessoreinheit 8 
auf. 

. Der invertierende Eingang des UND-Gatters 577 und 677 40 
ist der Redundanzumschaltsignaleingang 572 und 672 des 
Redundanzumschaltmittels 570 und 670. Der Ausgang des 
UND-Gatters 577 und 677 ist der Freigabeausgang 573 und 
673 des Redundanzumschaltmittels 570 und 670. 

Bei der Inbetriebnahme der redundant geschalteten, 45 
gleichartigen Baugruppen 5 und 6 werden das adressierbare 
Statuslatch 575 und 675 und das adressierbare Bereit- 
schaftslatch 576 und 676 des Redundanzumschaltmittels 
570 und 670 durch die Prozessoreinheit 8 in Abhangigkeit 
vom Aktivierungszustand der jeweiligen B augruppe 5 und 6 50 
initialisierend eingestellt. 

Bei der Initialisierung der aktivgeschalteten Baugruppe 5 
wird das adressierbare Statuslatch 575 gesetzt Der Redun- 
danzumschaltsignalausgang 574 des Redundanzumschalt- 
mittels 570 fuhrt somit High-Pegel und ist demzufolge bei 55 
positiver Logik aktiv. Das adressierbare Bereitschaftslatch 
576 des Redundanzumschaltmittels 570 wird fur die aktiv- 
geschaltete Baugruppe 5 gesetzt, so daB am nichtinvertie- 
renden Eingang des UND-Gatters 577 High-Pegel geschal- 
tet ist . 60 

Bei der Initialisierung der passivgeschalteten Ersatz-Bau- 
gruppe 6 wird das adressierbare Statuslatch 675 in seinen 
riickgesetzten Zustand verbracht Der Redundanzumschalt- 
signalausgang 674 des Redundanzumschaltmittels 670 fuhrt 
somit Low-Pegel und ist demzufolge bei positiver Logik in- 65 
aktiv. Das adressierbare Bereitschaftslatch 676 des Redun- 
danzumschaltmittels 670 wird fur die passivgeschaltete Er- 
satz-Baugruppe 6 gesetzt, so daB am nichtinvertierenden 



Eingang des UND-Gatters 677 High-Pegel geschaltet ist 

Im weiteren wird die Wirkungsweise der Redundanzum- 
schaltmittel 570 und 670 der aktivgeschaltete Baugruppe 5 
und der passivgeschalteten Ersatz-Baugruppe 6 unter Be- 
rucksichtigung der Zusarnmenschaltung gemafi Fig. 6 erlau- 
tert Dabei ist der Redundanzumschaltsignalausgang 574 
des Redundanzumschaltmittels 570 der aktivgeschaltete 
Baugruppe 5- Uber den Redundanzumschaltsignalausgang 
505, die Signalleitung U und den Redundanzumschaltsi- 
gnaleingang 604 der Ersatz-Baugruppe 6 mit dem Redun- 
danzumschaltsignaleingang 672 des Redundanzumschalt- 
mittels 670 verbunden. Der Redundanzumschaltsigrialaus- 
gang 674 des Redundanzumschaltmittels 670 ist Uber den 
Redundanzumschaltsignalausgang 605, die Signalleitung 12 
und den Redundanzumschaltsignaleingang 504 des Redun- 
danzumschaltmittels 570 mit dem Redundanzumschaltsi- 
gnaleingang 572 der aktivgeschaltete Baugruppe 5 verbun- 
den. 

Durch diese Verbiridungen fuhren der Redundanzum- 
schaltsignaleingang 672 der passivgeschalteten Ersatz-Bau- 
gruppe 6 High-Pegel und der Redundanzumschaltsignalein- 
gang 572 der aktivgeschaltete Baugruppe 5 Low-Pegel. 

Bei ungestortem Betrieb sind die Rucksetzsignale 571 
und 671 der aktivgeschalteten Baugruppe 5 und der passiv- 
geschalteten Ersatz-Baugruppe 6 inaktiv. Dariiber hinaus ist 
der Freigabeausgang 573 der aktivgeschalteten Baugruppe 5 
durch die Verknupfung des Low-Pegels vom Redundanzum- 
schaltsignaleingang 572 am invertierenden Eingang des 
UND-Gatters 577 und des High-Pegels vom Ausgang des 
adressierbaren Bereitschaftslatch 576 am nichtinvertieren- 
den Eingang des UND-Gatters 577 mit High-Pegel aktiv. In- 
folge dessen ist der Schalter 520 der aktivgeschalteten Bau- 
gruppe 5 geschlossen und der Ausgang des Signalverstar- 
kers 510 uber den singulare Signalkanal 3 mit dem Signal- 
empfanger 1 verbunden. 

Bei der passivgeschalteten Ersatz-Baugruppe 6 fuhrt der 
Ausgang des UND-Gatters 677 des Redundanzumschaltmit- 
tels 670 durch die Verknupfung des High-Pegels vom Red- 
undanzumschaltsignaleingang 672 am invertierenden Ein- 
gang und des High-Pegels vom Ausgang des adressierbaren 
Bereitschaftslatch 676 am nichtinvertierenden Eingang im 
Ergebnis Low-Pegel, so daB der Freigabeausgang 673 inak- 
tiv ist Infolge dessen ist der Schalter 620 der redundant ge- 
schalteten, gleichartigen Ersatz-Baugruppe 6 geoffnet, so 
daB der singulare Signalkanal 3 von dem Ausgang des Si- 
gnalverstarkers 610 der Ersatz-Baugruppe 6 getrennt ist 

Beim Auftxeten einer Storung in der aktivgeschalteten 
Baugruppe 5 wird das Rticksetzsignal 571 aktiviert Infolge 
dessen werden das adressierbare Statuslatch 575 und das 
adressierbare Bereitschaftslatch 576 riickgesetzt Durch 
Rucksetzen des adressierbaren Statuslatch 575 wird der 
Redundanzumschaltsignalausgang 574 der aktivgeschalte- 
ten Baugruppe 5 und damit der Redundanzumschaltsignal- 
eingang 672 auf Low-Pegel gesetzt 

Der Low-Pegel am invertierenden Eingang des UND- 
Gatters 677 bewirkt bei gesetztem adressierbaren Bereit- 
schaftslatch 676 die Aktivierung des Freigabeausgangs 673. 
Infolge dessen wird der Schalter 620 der redundant geschal- 
teten, gleichartigen Ersatz-Baugruppe 6 geschlossen, so daB : 
der Ausgang des Signalverstarkers 610 der Ersatz-Bau- 
gruppe 6 Uber den singulare Signalkanal 3 mit dem Signal- 
empfanger 1 verbunden ist 

Dariiber hinaus bewirkt das Rucksetzen des adressierba- 
ren Bereitschaftslatch 576 der aktivgeschalteten Baugruppe 
5 infolge Low-Pegels am nichtinvertierenden Eingang des 
UND-G alters 577 im Ergebnis Low-Pegel am Freigabeaus- 
gang 573. Infolge dessen wird der Schalter 520 der gestSrten 
Baugruppe 5 geSfrhet, so daB der singulare Signalkanal 3 
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vom Ausgang des Signalverstarkers 510 der gestdrten Bau- 
gruppe 5 getrennt ist 

Bei der Authentisierung gemaB Programmschritt 1307 
zum Zeitpunkt t 2 des bereits vorlaufig vollzogenen Wechsels 
der aktivgeschalteten Bau gruppe gemaB Programmschritt 5 
1202 zum Zeitpunkt t t wird das adressierbare Statuslatch 
675 der Ersatz- Bau gruppe 6 gesetzt. Der Ausgang des 
adressierbaren Statuslatch 675 und damit der Redundan- 
zumschaltsignalausgang 605 sowie der Redundanzum- 
schaltsignaleingang 504 fuhren nunmehr High-Pegel, so daB 10 
das UND-Gatters 577 unabhangig vom Zustand des adres- 
sierbaren Bereitschaftsiatch 576 stets gesperrt ist. In vorteil- 
hafter Weise wird dadurch der Freigabeausgang 573 gegen 
unbeabsichdgte Aktivierung verriegelL 

Nach der Authentisierung ist die Ersatz-Baugruppe 6 im 15 
Automatisierungssystem als aktive Bau gruppe registriert 

Bezugszeichenliste 

1 Signalempfanger 20 

3 singularer Signalkanal 

4 ubergeordnete Einrichtung 

5, 6 redundant geschaltete, gleichartige Baugruppen 
7Bussystem 

8 Prozessoreinheit 25 

11, 12 Signalleitungen 

503, 603 RUcksetzsignal 

504, 604 Redundanzumschaltsignaleingang 

505, 605 Redundanzumschaltsignalausgang 

510, 610 Signalverstarker ^ 30 

520,620Schalter 

570, 670 Redundanzumschaltrnittel 

571, 671 Rucksetzeingang 

572, 672 Redundanzumschaltsignaleingang 

573, 673 Freigabeausgang 35 

574, 674 Redundanzumschaltsignalausgang 

575, 675 adressierbares Statuslatch 

576, 676 adressierbares Bereitschaftsiatch 

577, 677 UND-Gatter 

1000 bis 9999 Programmschritte 40 



dung (U, 12) zwischen den redundant geschalte- 
ten Baugruppen (5, 6) die passive Baugruppe (6) 
direkt unter Umgehung der iibergeordneten Ein- 
richtung (4) vorlaufig bezuglich des singularen Si- 
gnalkanals (3) aktiviert wird, 

- daB die Stdrungsmeldung der aktiven Bau- 
gruppe (5) in den ubergeordneten Einrichtungen 
(4) des Automatisierungssystems verarbeitet wird 
und 

- daB die Aktivierung der passiven Baugruppe 
(6) durch die Ubergeordneten Einrichtungen (4) 
des Automatisierungssystems authentisiert wird. 

2. Verfahren nach Anspruch 1 dadurch gekennzeich- 
net, daB der singulare Signalkanal (3) unmittelbar an 
seinem AnschlUssen an die redundant geschalteten, 
gleichartigen Baugruppen (5, 6) in Abhangigkeit vom 
Aktivierungszu stand jeder redundant geschalteten, 
gleichartigen Baugruppe (5, 6) an- und abgeschaltet 
wird. 



Hierzu 6 Seite(n) 2feichnungen 



Patentanspriiche 

1. Verfahren zur Umschaltung redundant geschalteter, 
gleichartiger Baugruppen in einem hierarchisch aufge- 45 
bauten Automatisierungssystem, die gemeinsam paral- 
lel an denselben, singularen Signalkanal angeschlossen 
sind, wobei jede der Baugruppen eine Prozessorschal- 
tung umfaBt, die iiber mindestens ein Bussystem mit 
iibergeordneten Einrichtungen des Aiitomatisierungs- 50 
systems Daten austauscht und Befehle empfangt, wo- 
bei jeweils ausschlieBlich eine der redundant geschalte- 
ten Baugruppen aktiv iiber den singularen Signalkanal 
kommuhiziert, wahrend die anderen Baugruppen be- 
zUglich des singularen Signalkanals passiv geschaltet 55 
sind und bei Stoning der aktiven Baugruppe eine der 
passiven Baugruppen bezuglich des singularen Signal- 
kanals aktiviert und die gestorte Baugruppe bezuglich 
des singularen Signalkanals abgeschaltet wird, da- 
durch gekennzeichnet, 60 

— daB dieselben Daten in alien redundant geschal- 
teten Baugruppen (5, 6) von den Ubergeordneten 
Einrichtungen (4) des Automatisierungssystems 
empfangen und verarbeitet werderi, 

— daB jede Stoning der aktiven Baugruppe (5) 65 
iiber das Bussystem (7) an die ubergeordneten 
Einrichtungen (4) des Automatisierungssystems 
gemeldet wird und daB uber eine separate Verb in- 
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